Glossar A–ZBuchstabe S
Schwachstellenmeldung
Eine Schwachstellenmeldung ist der Hinweis auf eine Sicherheitslücke in einem Produkt, entweder von außen an den Hersteller, etwa durch Sicherheitsforscher oder Kunden, oder vom Hersteller an die zuständigen Stellen.
Für beide Richtungen gibt es inzwischen feste Regeln.
Hersteller richten eine Meldestelle ein, meist eine E-Mail-Adresse mit beschriebenem Verfahren, und veröffentlichen sie; eine Datei namens security.txt auf der Webseite macht die Adresse maschinenlesbar auffindbar. Nach dem Cyber Resilience Act müssen Hersteller seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen über eine zentrale Meldeplattform der EU-Agentur für Cybersicherheit (ENISA) melden: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und später einen Abschlussbericht. Für schwere Sicherheitsvorfälle gilt Entsprechendes.
Für Betreiber zählt, dass sie wissen, wohin sie eine entdeckte Lücke melden und wie schnell eine Antwort kommt. Ein Verfahren zur koordinierten Offenlegung legt fest, wann eine Lücke öffentlich gemacht wird, in der Regel erst, wenn ein Update bereitsteht. Eine Schwachstelle ist noch kein Angriff; meldepflichtig nach der Verordnung ist sie erst, wenn sie aktiv ausgenutzt wird. Ein Hersteller ohne Meldestelle kann die kurzen Fristen kaum einhalten.